초보입니다 jwt에서 refresh token을 redis나 cookie에 저장하는 차이에 대해 제가 이해한게맞나요?

Question

jwt를 구현하면서 access token이랑 refresh token을 만들어서 헤더나 쿠키로 앞단에 보내주려고하는데 refresh token을 어떻게 관리할지 고민중입니다 refresh token은 사용할 수있는 기간이 기니까 앞단으로 안보내고 백단에 redis에 저장해놓는다는데 예를들어서 access token이 들어왔을때 만료가되었다면 redis에서 어떠한 key값으로 refresh token을 꺼내와서 access token을 다시 만들어주는식으로 한다면 어떤 key값으로 꺼내오나요? 그 정보가 예를들어 앞단에서 보내주는 id같은 정보라면 id만 알면 refresh token을 가져올수있는건데 보안적으로 괜찮은걸까요? 마지막으로 refresh token의 저장방법에 대해서 설계에따라 다른거같은데 제가 이해하기에 https상황일땐 cookie 탈취가 어려우니까 쿠키가 낫고 http상황일땐 cookie는 파괴할수 없으니까 그나마 redis에 저장해서 redis가 해킹돼도 토큰을 삭제할수 있다는 장점이 있으니까 redis가 나을거같은데 맞나요?

토끼왕 · Answer

순수하게 JWT 만으로 완벽한 보안을 생각하시면 절대로 답이 안나오실겁니다. 스스로 이중 삼중 보안장치를 생각해보세요. 제일 먼저는 엑세스토큰이건 리프레쉬토크이건 털렸을때 가장 빠르고 피해가 적게 대처하는 방법을 생각해보시면 좋겠네요. 절대로 안털리는건 없고 최대한 안털리게 할뿐이고 더 중요한건 털렸을때 대처입니다.

초보입니다 jwt에서 refresh token을 redis나 cookie에 저장하는 차이에 대해 제가 이해한게맞나요?

1개의 답변

Q&A 목록